55,2 milhões de moedas, 127 transações, aumento de 243 mil vezes: a Kava Lend foi esvaziada durante a noite, a KAVA caiu 55,8% em um dia e, até agora, a equipe oficial ainda não explicou o que acontecerá com os depositantes.
Em uma frase, eis o que aconteceu: a Kava Lend, protocolo nativo de empréstimos da blockchain Kava, foi explorada nas primeiras horas de 14 de novembro por meio de um mercado de BUSD quase sem uso. As 55,2 milhões de KAVA do pool foram emprestadas; quase 49,2 milhões foram transferidas para a BNB Chain e vendidas em uma hora. Em um dia, a KAVA caiu de US$ 0,068 para US$ 0,03. A equipe publicou três comunicados oficiais, cujo resumo são duas frases: não houve emissão ilimitada e o incidente ficou restrito à Kava Lend. Mas não informou o valor das perdas, a causa-raiz nem como os depositantes serão indenizados.
O que mudou: conferência completa dos três comunicados oficiais e da reconstrução on-chain
Primeiro, o que a equipe oficial disse (conta oficial da Kava no X, @KAVA_CHAIN, em 14 de novembro de 2026; três comunicados, todos no horário de Pequim):
19h28, primeiro comunicado: a equipe está acompanhando atividades anormais em um dApp do ecossistema e priorizando a investigação. Repare no horário: já tinham se passado mais de 7 horas desde o início do ataque, e a corretora Upbit havia suspendido depósitos e saques mais de uma hora antes do comunicado oficial.
20h01, segundo comunicado: a equipe tomou conhecimento da transferência entre blockchains e da venda de KAVA na BSC; “não houve emissão ilimitada, e o incidente foi isolado e restringido à Kava Lend”; as corretoras parceiras suspenderam depósitos e saques como medida preventiva.
22h05, terceiro comunicado: por precaução, os saques pela ponte entre blockchains da Axelar foram suspensos; o relatório completo do incidente será publicado posteriormente. Um detalhe importante: as moedas roubadas passaram pela ponte da LayerZero, não pela Axelar. A suspensão da Axelar foi uma medida para evitar uma segunda onda de ataques.
Até o meio-dia de hoje (15 de novembro), ainda não foram publicados nem um quarto comunicado nem o relatório do incidente. Até agora, a equipe oficial não usou a palavra “hack”; a classificação continua sendo “atividade anormal”. Também não divulgou o valor oficial das perdas nem a causa-raiz.
Agora, o que realmente aconteceu on-chain (rastreamento on-chain do The Block e da Bitquery, corroborado por diversos veículos de imprensa):
A partir de 8 de novembro, o invasor começou a testar repetidamente esse mercado de BUSD e passou vários dias se preparando.
Em 14 de novembro, às 12h01 (horário de Pequim), o invasor tomou emprestada uma pequena quantia de BUSD e reduziu a oferta líquida desse mercado inativo a apenas 2 unidades básicas, ou US$ 0,00000002. O código da Kava Lend só protegia contra uma oferta líquida exatamente igual a zero, mas não contra um valor próximo de zero. Como resultado, em três minutos, o índice de juros dos depósitos desse mercado aumentou cerca de 243 mil vezes, fazendo com que, aos olhos do protocolo, o depósito de BUSD do invasor passasse a valer uma quantia astronômica.
Na hora e meia seguinte, o invasor usou essa garantia artificialmente inflada para tomar emprestadas cerca de 55,2 milhões de KAVA em 127 transações. A cada empréstimo, usava uma segunda conta para liquidá-lo, contornando o limite de empréstimos por conta. O saldo de KAVA do pool caiu de 55,33 milhões para apenas 0,19 moeda: foi praticamente esvaziado.
Em 14 de novembro, às 17h59, cerca de 49,2 milhões de KAVA foram transferidas para a BNB Chain pela LayerZero e praticamente todas foram vendidas em uma hora, em troca de 3.006,5 BNB e 231.557 USDT, no valor total de cerca de US$ 2,09 milhões. Calculado pelo preço de US$ 0,068 antes do ataque, o valor das moedas emprestadas foi de cerca de US$ 3,76 milhões. O rastreamento on-chain também mostra que cerca de US$ 1,17 milhão dos fundos roubados foi posteriormente convertido em Monero; outros 612 mil USDT foram marcados e bloqueados por uma ponte entre blockchains e podem ser resgatados pelo remetente — portanto, não contam como recuperados.
Por que o mercado de BUSD era um ponto fraco: a Paxos parou de emitir BUSD em 2023. Esse mercado estava praticamente desativado na Kava Lend — ninguém o observava nem usava — e são justamente esses cantos esquecidos onde é mais fácil algo dar errado.
Quem foi afetado: quatro grupos, quatro situações
Primeiro grupo: os depositantes da Kava Lend, os mais diretamente afetados. O pool deve aos credores cerca de 55,2 milhões de KAVA, mas só restam 0,19 moeda na conta: esse é o tamanho do déficit de liquidez. Até agora, a Kava não informou se os depositantes serão indenizados, como isso será feito ou de onde virá o dinheiro. Dados da DefiLlama: o valor bloqueado na Kava Lend caiu de US$ 7,418 milhões em 13 de novembro para os atuais US$ 5,549 milhões; o pool continua encolhendo.
Segundo grupo: todos os detentores de KAVA. O preço da moeda caiu mais da metade em um dia. Cotação KAVA/USDT da Binance, snapshot da Finnhub (hoje, às 13h28, horário de Pequim): US$ 0,03027, queda de 55,8% em relação ao fechamento anterior, de US$ 0,06849; mínima intradiária de US$ 0,02507. O fechamento de 14 de novembro foi de US$ 0,03816. A queda em 24 horas, segundo a mesma metodologia da CoinGlass, foi de cerca de 60,9%. Os dados de mercado da HTX mostram que o preço caiu cerca de 42% na primeira hora após a divulgação da notícia.
Terceiro grupo: quem tem KAVA em corretoras sul-coreanas. A Upbit foi a primeira a suspender depósitos e saques de KAVA, em 14 de novembro, às 18h36 (horário de Pequim), com base no decreto de aplicação da Lei de Proteção aos Usuários de Ativos Virtuais; em seguida, acrescentou um aviso de cautela nas negociações. A Bithumb e a Coinone também suspenderam as transferências de KAVA. Por enquanto, não é possível transferir as moedas para fora dessas corretoras.
Quarto grupo: quem pretende transferir ativos para a Kava pela ponte da Axelar. A ponte está suspensa; não envie mais ativos, pois eles podem ficar presos no caminho.
Principais prazos e condições: três medidas já implementadas e duas ainda pendentes
Já implementadas: ① a equipe oficial negou a emissão ilimitada e afirmou que o incidente se limitou à Kava Lend (14 de novembro, 20h01); ② Upbit, Bithumb e Coinone suspenderam depósitos e saques de KAVA; ③ a ponte da Axelar suspendeu os saques (22h05).
Ainda pendentes: ① relatório completo do incidente, sem cronograma de publicação; ② plano de indenização dos depositantes, ainda não mencionado.
Observação sobre os valores: a estimativa de perda de US$ 3,76 milhões é um cálculo do The Block e da Bitquery com base no preço anterior ao ataque, não um número oficial. Não a cite como dado oficial. Da mesma forma, os números de 243 mil vezes, 127 transações e 55,2 milhões de moedas vêm do rastreamento on-chain; a equipe oficial só confirmou o fato da “transferência entre blockchains e venda”.
5 coisas que os leitores devem fazer agora
1. Se você tem depósitos ou empréstimos na Kava Lend: verifique primeiro o estado da sua posição e tire capturas de tela como comprovante. O pool já está vazio; não deposite mais ativos. Aguarde o relatório oficial do incidente para saber se e quando será possível sacar. Não acredite em mensagens de grupos sobre “canais internos” ou “cadastro antecipado para indenização”.
2. Se você tem KAVA: verifique os comunicados da corretora que utiliza. As três corretoras sul-coreanas já suspenderam depósitos e saques; as demais ainda não tomaram medidas uniformes. Não tente transferir repetidamente por uma corretora que suspendeu depósitos e saques: além de não conseguir concluir a transferência, sua ordem pode ficar presa.
3. Não envie ativos para a Kava pela ponte da Axelar: a ponte está suspensa e os ativos podem ficar presos no caminho.
4. Antes de a equipe oficial divulgar um plano de indenização, qualquer link, mensagem privada ou formulário sobre “pedido de compensação” ou “cadastro para reembolso” é falso. Não clique e não informe sua frase-semente.
5. Não se apresse para comprar na baixa: a causa-raiz não foi divulgada, o relatório não saiu e a indenização não foi definida. Depois de cair pela metade em um dia, o preço da moeda continua oscilando perto de US$ 0,03. O risco ainda não foi totalmente esclarecido.
A opinião de BaoBao: o mais preocupante neste ataque não é o valor — US$ 3,76 milhões não é muito em comparação com os roubos deste ano —, mas o método: um mercado de BUSD desativado há anos e uma condição-limite que só bloqueava operações quando a oferta líquida era exatamente zero foram suficientes para esvaziar o pool de mais de 55 milhões de moedas. Pools pequenos e mercados sem usuários são justamente esses “cantos esquecidos” onde é mais fácil algo dar errado. Minha avaliação é: antes da publicação do relatório oficial, os riscos da KAVA ainda não foram esclarecidos; comprar na baixa agora é apostar sem ter todas as informações. Só depois de conhecermos a causa-raiz e o plano de indenização do relatório poderemos avaliar se vale a pena. Só mudarei de opinião diante de uma destas duas coisas: o relatório oficial apresentar a causa-raiz e um cronograma de indenizações, ou o pool da Kava Lend voltar a permitir saques normalmente. Por outro lado, se o relatório continuar atrasado e não houver notícias sobre a indenização, a KAVA ainda terá de buscar um suporte mais abaixo.
Três coisas para acompanhar daqui para a frente
Primeiro, quando será publicado o relatório completo do incidente da Kava: verifique se o valor das perdas é de US$ 3,76 milhões, se a causa-raiz foi o algoritmo do índice de juros do mercado de BUSD, se os depositantes serão indenizados e de onde virá a indenização. Esse relatório será o ponto final de toda a história.
Segundo, quando serão retomados a ponte da Axelar e os depósitos e saques nas corretoras sul-coreanas: a publicação de um comunicado de retomada indicará que a equipe considera o risco controlado; se a suspensão continuar, isso indicará que o problema é maior do que o descrito no comunicado.
Terceiro, se o preço da KAVA conseguirá voltar a ficar acima de US$ 0,05: se não conseguir, isso indicará que o mercado continua votando com os pés. Acompanhe também se o valor bloqueado na Kava Lend continuará diminuindo.
Assim que uma dessas três coisas se concretizar, publicarei um post de verificação — a análise do relatório do incidente e do plano de indenização merece ser acompanhada. Siga-me para ver assim que o relatório sair.
Se você tem KAVA, vai trocar por outro ativo para se proteger agora ou esperar a publicação do relatório oficial do incidente para decidir?
— BaoBao